Формуляр без защита събира спам, а формуляр със защита, която не върши нищо, събира същия спам, докато Вие се чувствате сигурни. Безплатната проверка на защитата на формуляри отговаря на първата половина от този въпрос: каква защита от ботове доставя страницата? Тази статия обяснява как да четете резултата и докъде стига неговият отговор.
Какво прави проверката
Въвеждате адреса на страница с формуляр. Проверката първо чете robots.txt на сайта; ако той забранява достъпа или не може да бъде прочетен, проверката спира дотук. В противен случай тя изтегля тази една страница с ясно име (SilentShieldFormCheck), без бисквитки, с най-много три пренасочвания и най-много 1 MB. След това търси в HTML маркерите на известни доставчици: адреси на скриптове, класове на елементи и имена на полета. Познава Google reCAPTCHA, hCaptcha, Cloudflare Turnstile, Friendly Captcha и SilentShield. Нищо не се съхранява, нито адресът, нито резултатът.
Петте резултата
- Всеки формуляр носи маркер. Във всеки намерен формуляр HTML съдържа маркера на известен доставчик. Защитата е поставена във формуляра.
- Само някои формуляри носят маркер. Списъкът показва кои формуляри нямат такъв.
- Зареден е скрипт на доставчик, но нито един формуляр не носи маркер. Страницата зарежда скрипта на доставчик, но никой от формулярите ѝ не съдържа маркер. Дали и кой формуляр защитава скриптът, не се вижда без изпълнение на JavaScript.
- Нищо не е открито в доставения HTML. Страницата има формуляри, но няма маркер и няма скрипт на известен доставчик.
- Няма формуляр в доставения HTML. Формулярите може да се създават от скрипт в браузъра, който проверката не вижда.
Какво проверката не може да види
Проверката чете HTML, който Вашият сървър доставя. Тя не изпълнява JavaScript. Това има четири последствия, които е добре да имате предвид.
- Формуляр или уиджет, който скрипт създава в браузъра, за проверката не съществува. „Нищо не е открито“ следователно означава „нищо в доставения HTML“, а никога „незащитен“.
- Тя не може да каже дали Вашият сървър проверява отговора. Уиджет във формуляра без проверка на сървъра не спира никого.
- Защитата, която стои пред страницата, например защитна стена или ограничение на заявките, не оставя следа в HTML.
- Страници зад вход са недостъпни, защото проверката изтегля само публични страници, без бисквитки.
Реален пример: нашата собствена страница за регистрация
Когато пуснахме проверката срещу собствената си страница за регистрация, първата версия съобщи за двама доставчици, чийто скрипт бил „зареден“. Страницата не зарежда нито един от тях. Причината беше в данните на самата страница: запис в менюто „Алтернатива на hCaptcha.“ стоеше във вграден скрипт и проверката взе думата за код на доставчик. Променихме правилото така, че вграденият скрипт да се брои само когато извиква доставчик (извикване на render или execute), и същата страница вече съобщава, че нищо не е открито в доставения HTML. Урокът е причината проверката да назовава само факти: една дума на страницата не е доставчик.
Какво да правите с резултата
- Ако има маркер, проверете другата половина: изпратете формуляра отвън с липсващ или грешен отговор и вижте дали Вашият сървър го отхвърля. Маркерът показва само, че уиджетът е поставен.
- Ако е зареден скрипт на доставчик без маркер във формуляра, разгледайте как е закачен уиджетът. Много конфигурации го добавят в браузъра, след като страницата се зареди.
- Ако нищо не е открито, не заключавайте, че формулярът е отворен. Погледнете дневниците на сървъра и какво реално пристига, и проверете дали защитата работи на сървъра или пред страницата.
- Ако решите да замените видимо предизвикателство, сравнете възможностите на страницата сравнение на CAPTCHA и вижте какво Ви струва видимото предизвикателство с калкулатора за конверсия.
Проверката е първи поглед върху доставения HTML, а не одит. Използвайте я, за да разберете какво казва Вашата страница за себе си, а останалото проверете чрез изпращане.